Cybersecurity : tra Informatica e Conformità (GDPR e NIS2)

L’avvento della Cyber Security ha di fatto modificato l’approccio all’informatica.

Anche le aziende più organizzate dal punto di vista della sicurezza informatica, risultano violate per mezzo degli anelli più deboli della loro infrastruttura, spesso riconducibili alla catena dei fornitori, aziende di più piccole dimensioni, meno strutturate, con budget limitati e quindi più facili da violare per poi accedere, successivamente, all’infrastruttura della committenza, il vero obiettivo finale dell’azione criminale.

Questa situazione ha definito un allargamento a “macchia d’olio” delle violazioni informatiche, dei dati esfiltrati e fatti circolare nel dark web, costringendo il legislatore a intervenire per provare a guidare gli organi decisionali verso un comportamento più consapevole e in grado di limitare le conseguenze di danni sempre più pesanti.

A questo innalzamento della complessità, per le aziende (specialmente quelle più piccole) si è aggiunta l’ulteriore difficoltà di adeguamento alle specifiche leggi che regolamentano la materia, progressivamente entrate in vigore (vedi GDPR, NIS2, DORA, ecc.).

Se prima i consulenti informatici aziendali focalizzavano la loro attenzione sul funzionamento dei sistemi, da quando le violazioni informatiche sono diventate all’ordine del giorno, creando danni sempre più gravi a tutti i livelli della struttura sociale ed economica, l’attenzione si è necessariamente spostata su temi come sicurezza, protezione e prevenzione, allargandosi negli ultimi tempi anche al rispetto della normativa sulla gestione e protezione dell’infrastruttura e dei dati gestiti.

Agli specialisti sono state richieste sempre di più competenze di alto livello di tipo strategico direzionale, con una particolare attenzione sull’aspetto normativo (vedi UNI11814).

Competenze che vanno ben oltre la preparazione operativa dello staff tecnico tipicamente impiegato nelle PMI, lasciando quindi scoperto uno spazio importante che sta progressivamente creando problemi per una mancata adeguatezza dei sistemi che, seppur funzionanti, non considerano i criteri di Cyber Security in continua e frenetica evoluzione, mettendo sempre più in pericolo la sicurezza della struttura informatica, espone l’azienda a rischio d’infrazione di legge che possono portare alla perdita di contratti, sanzioni aziendali e i relativi soggetti apicali ad accuse per la violazione della normativa.

La mancata documentazione di un corretto approccio alla Cyber Security, del resto, rappresenta il venir meno delle necessarie procedure aziendali che sono alla base della protezione dei rappresentanti legali prevista dalla 231/200, facendo così decadere la sua difesa nei confronti dei soggetti apicali.